smichalev, ты уже используешь secure и раз ты его используешь скорее всего запросы уходят по http2. Тут уже исключаются xss атаки. Если не достаточно настрой CORS.
deleteItem = Array.prototype.slice.call(deleteItem);
listItem = Array.prototype.slice.call(listItem);
бессмысленные строки, вообще не ясно, что ты пытаешься сделать, в массив преобразовать? Есть более удобный синтаксис для этого. И для чего обращаться через proto, этот метод хорошо поддерживается. Загони свой пример в песочницу